ReaR 복구 이미지를 사용하는 환경에서 확인할 사항
이번 확인에서 다루는 공개 식별자: CVE-2024-23301. 각 식별자의 제품·영향 버전·입력 조건은 본문의 공식 자료와 함께 확인하세요.
Ubuntu는 2026년 11월 3일 USN-8988-1을 통해 Relax-and-Recover(ReaR)의 정보 노출 취약점 CVE-2024-23301 수정 패키지를 안내했다. GRUB_RESCUE=y를 사용하는 환경에서는 일반 사용자도 읽을 수 있는 initrd가 생성되어, 로컬 공격자가 원래 root만 읽을 수 있는 시스템 비밀정보에 접근할 수 있다.
Ubuntu CVE 문서의 우선순위와 CVSS 점수는 Medium, 5.5다. 제공 자료에는 실제 악용을 확인하는 근거가 없다. ReaR 설치 여부뿐 아니라 GRUB 복구 기능 사용 여부와 생성된 이미지의 접근 권한을 함께 확인해야 한다.
영향 조건과 대응 판단
| 점검 항목 | 확인된 근거 | 운영자 판단 |
|---|---|---|
| 영향 제품·범위 | CVE 설명상 ReaR 2.7까지, GRUB_RESCUE=y 조건 | 설치 사실만으로 모든 환경이 취약하다고 단정하지 않는다 |
| 노출 경로 | 일반 사용자도 읽을 수 있는 initrd 생성 | 복구 이미지의 권한과 저장 위치 접근 가능성을 확인한다 |
| 영향 | 로컬 공격자의 시스템 비밀정보 접근 가능성 | 로컬 계정을 여러 사람이 사용하는 시스템에서 우선 점검한다 |
| 공식 조치 | USN의 릴리스별 수정 패키지로 시스템 업데이트 | 해당 배포판의 수정 패키지를 적용한다 |
| 별도 완화책 | 제공 공지에 구체적인 임시 완화 절차 없음 | 임의 설정 변경을 공식 해결책으로 간주하지 않는다 |
Ubuntu 수정 패키지
USN-8988-1은 다음 rear 패키지를 수정 버전으로 제시한다.
| Ubuntu 릴리스 | 수정 패키지 버전 | 제공 조건 |
|---|---|---|
| 22.04 LTS | 2.6+dfsg-1+deb11u1build0.22.04.1 | 해당 릴리스의 업데이트 경로 확인 |
| 20.04 LTS | 2.5+dfsg-1ubuntu0.1~esm1 | Ubuntu Pro의 ESM Apps 필요 |
| 18.04 LTS | 2.3+dfsg-1ubuntu0.1~esm1 | Ubuntu Pro의 ESM Apps 필요 |
Ubuntu 수정 패키지 — 계속 1
Ubuntu CVE 문서는 24.04 LTS, 26.04 LTS, 25.10, 26.10을 영향 없음으로 표시한다. 지원 종료 릴리스의 Ignored 상태는 안전하다는 의미로 해석하면 안 된다.
배포판 backport는 전체 패키지 버전으로 판단
상위 프로젝트의 영향 범위가 2.7까지라는 설명만으로 Ubuntu의 2.3·2.5·2.6 계열 수정 패키지를 취약하다고 판단하면 안 된다. 배포판은 기존 버전 계열에 보안 수정을 backport하므로 배포판 릴리스와 전체 패키지 버전을 대조해야 한다.
Debian 보안 추적기도 다음 수정 기준을 제공한다. Ubuntu와 Debian의 패키지를 서로 대체 설치하는 기준은 아니다.
| Debian 릴리스 | 수정 버전 |
|---|---|
| buster | 2.4+dfsg-1+deb10u1 |
| bullseye | 2.6+dfsg-1+deb11u1 |
| bookworm | 2.7+dfsg-1+deb12u1 |
| unstable | 2.7+dfsg-1.2 |
읽기 전용 사전 점검표
- 운영체제 릴리스와
rear설치 버전, 저장소의 업데이트 후보를 확인한다. Ubuntu Pro 환경에서는 ESM Apps 사용 가능 여부도 확인한다. - ReaR의 실제 적용 설정에서
GRUB_RESCUE=y사용 여부를 확인한다. 한 설정 파일의 문자열 검색만으로 최종 적용값을 단정하지 않는다. - 기존 복구 initrd의 소유자·권한과 상위 디렉터리 접근 권한을 메타데이터로 확인한다. 비밀정보가 포함될 수 있는 이미지 내용은 점검 로그에 출력하지 않는다.
- 복구 이미지의 생성 시점과 외부 보관 사본 유무를 기록해 업데이트 이후 검토 대상에 포함한다.
읽기 전용 사전 점검표 — 계속 2
Ubuntu·Debian에서 다음 명령은 릴리스와 패키지 상태를 읽기 전용으로 확인하는 데 사용할 수 있다. 이 글에서는 실행하지 않았다.
cat /etc/os-release
dpkg-query -W -f='${Package}\t${Version}\n' rear
apt-cache policy rear업데이트와 정상 업무 확인
USN은 일반적인 시스템 업데이트로 문제를 수정할 수 있다고 안내한다. 운영체제 릴리스에 맞는 저장소에서 수정 패키지를 적용하고, 설치된 전체 버전이 해당 수정 기준을 충족하는지 확인한다. Ubuntu 18.04·20.04에서는 ESM Apps 제공 조건도 함께 확인한다.
패키지 적용 후에는 평소 수행하던 백업·복구 준비 작업이 정상적으로 완료되는지 확인한다. 새로 생성하는 복구 이미지의 접근 권한과 작업 로그도 검토하고, 실제 복구 검증은 운영 절차에 따라 격리된 시험 환경에서 수행한다.
제공 공지는 기존 initrd의 권한이 업데이트만으로 교정되는지, 기존 이미지 재생성이 필요한지, 재부팅이 필요한지를 명시하지 않는다. 따라서 패키지 업데이트만으로 기존 복구 사본까지 안전해졌다고 판단하지 말고 별도로 검토해야 한다. 여기서는 패치 적용이나 복구 시험 완료를 주장하지 않는다.
근거 확인일과 남은 불확실성
USN 원문은 제공된 수집 기록상 2026년 11월 3일 20:00 UTC에 수집됐다. Ubuntu CVE 문서와 Debian 추적기는 2026년 11월 4일 02:23 UTC에 수집·확인된 자료다. 이는 제공된 자동 수집 기록이며 편집자가 외부 사이트를 직접 재조회한 결과는 아니다.
- Ubuntu 보안 공지 USN-8988-1: 영향 조건, 업데이트 안내, 릴리스별 수정 패키지의 근거다.
- Ubuntu CVE-2024-23301: Medium 등급, 점수, 릴리스별 상태와 ESM 조건의 근거다.
- Debian CVE-2024-23301 추적기: Debian 수정 버전의 근거다.
- CVE 등록 자료: 영향 설명을 보조한다. 원본 잘림 표시가 있어 전체 레코드를 완전 확인한 것으로 취급하지 않았다.
근거 확인일과 남은 불확실성 — 계속 3
상위 프로젝트의 정확한 최초 수정 릴리스와 기존 복구 산출물 처리 절차는 제공 자료만으로 확정하지 않는다. Ubuntu 문서에는 과거 빌드 실패 관련 메모도 남아 있으므로 실제 업데이트 후보 제공 여부는 대상 시스템에서 확인해야 한다.
확인하지 못한 범위
아래 항목은 이번 공식 자료 확인만으로 판단하지 못한 범위입니다. 확인된 영향 조건과 구분해 읽으세요.
- 기존 initrd와 보관 사본의 자동 교정 여부, 재생성·재부팅 필요성은 제공 공지에 명시되지 않았다.
- 상위 프로젝트의 정확한 최초 수정 릴리스는 제공 근거로 확정하지 않았다.
- CVE 등록 자료에는 원본 잘림 표시가 있으며, 대상 시스템의 설치·패치·침해 상태는 확인하지 않았다.